骇客技术文章

编者：这个漏洞应该早被补上了，发这个文章的目的，是要我们大家知道，在网络上，危险随时存在．

前些日子为了便于网络上的业务往来，我在当地工商银行办了一张牡丹灵通卡，开办了个人网上银行。对于工商银行网站的安全性我从来不去怀疑，也根本不去想象，更不敢随便探测了。由于我对这张卡的某些功能还不是太懂，于是登陆中国工商银行网站的论坛https:///bbs/index.jsp打算发贴询问一下。当我准备在个人网银版块发贴时，发现了一个令人吃惊的事实，论坛竟然允许直接用html格式来发贴。

众所周知，现在的论坛即使是免费的代码，为了安全性考虑，源代码就算是UBB代码也会书写得非常严格，不会给骇客任何注射或跨站的机会。工行银行的论坛允许注册用户直接书写html的话，骇客可能会利用这个功能来做什么呢？用来跨站拿版主的cookie?写恶意代码让看贴者死机？最恶毒的怕是写入一个网页木马获取你的工行卡卡号和密码了吧。也许工行论坛的html格式命令会限制发贴者所用的html标签？像限制一些javascript、<script>符号？我抱着试试看的态度，发了一个测试贴子，内容是<script>alert(documents.cookie)</script>，结果浏览器却令我失望地弹出了一个对话框，记录了我在工行论坛的session信息。

证明了我的猜测是错误的，工行论坛以html格式发贴时根本没有对html标签做任何的限制。我开始继续测试，又发了一个贴子，内容是<IFRAME src="" frameBorder=0 width=500 scrolling=noshade height=400></IFRAME>,学过html语言的都知道，我在这个贴子里引用了一个框架网页，内容就是。

这里当然可以写入一个网页木马，而且让看贴者毫不知情，下面我来做一次模拟入侵过程。（我只是在本机测试，并没有在工行论坛上实际发过任何网页木马代码，这里只是说明工行论坛这个缺陷所带来的危害，请读者千万不要照做）我在工行论坛发了一个贴子，内容如下：<iframe src="mm.html" name="lcx" width="0" height="0" frameborder="0">这个mm.html就是一个网页木马了，我是用动鲨网页木马生成器生成，对没有打补丁的IE6.0都有效．

网页里所用到的木马我是用windropshell写得一个只有10几K的键盘记录器，可以直接登陆被害者机器，实时
查看他的键盘录入，当然骇客也可以用别的记录器直接将键盘记录发送到指定的邮箱，像广外幽灵啦。然后我打开了我制做的网页木马，让我的电脑中了这个木马，此时我再去登陆工行网站的个人网银行，看看会发生什么。

KEYLOG程序清清楚楚记录了我的牡丹灵通卡的卡号和密码。
工行论坛的一个小小